DKIM 记录生成器

什么是 DKIM，它如何工作？

DKIM（DomainKeys Identified Mail）是一种邮件认证方法，发送方可对每封外发邮件进行加密签名。接收方邮件服务器使用发送方 DNS 中发布的公钥验证该签名。有效的 DKIM 签名可证明两件事：邮件确实来自所声明的域名，且传输过程中未被篡改。

与对照允许列表检查发信 IP 的 SPF 不同，DKIM 是将数字签名附加到邮件本身。因此 DKIM 验证在邮件转发后仍然有效，而 SPF 常常失败，因为转发服务器的 IP 不在原始 SPF 记录中。

理解 DKIM DNS 记录格式

DKIM 记录是发布在特定子域名上的 DNS TXT 记录：selector._domainkey.yourdomain.com。选择器是您自行指定的标签，常用值包括 mail、google、s1 或 default。记录值以 v=DKIM1; k=rsa; p= 开头，后接您的 base64 编码公钥。

私钥保存在邮件服务器上或由邮件服务商管理，需严格保密。公钥则发布在 DNS 中。接收服务器使用公钥验证私钥生成的签名——这是经典的公钥密码学模式。

在哪里查找您的 DKIM 公钥

启用 DKIM 签名时，邮件服务商会生成 DKIM 公钥。以下是常见服务商的查找位置：

• Google Workspace：管理控制台 → Apps → Google Workspace → Gmail → Authenticate email。生成新密钥并复制 TXT 记录值。
• Microsoft 365：Exchange 管理中心 → Protection → DKIM。为您的域名启用 DKIM，并复制 CNAME 记录（Microsoft 使用 CNAME，而非直接的 TXT 记录）。
• Mailchimp：Account → Domains → Verify a domain。Mailchimp 会提供需要添加到 DNS 的 DKIM TXT 记录值。
• SendGrid：Settings → Sender Authentication → Domain Authentication。SendGrid 会为您生成完整的 DKIM TXT 记录。
• 自托管（Postfix、Exim）：使用 opendkim-genkey 生成密钥对。公钥文件中包含 TXT 记录值。

DKIM 最佳实践

尽可能使用 2048 位密钥长度——1024 位密钥已被视为较弱，可能被部分邮件系统标记。定期轮换 DKIM 密钥（至少每年一次），以便在密钥泄露时限制影响范围。轮换后将旧密钥在 DNS 中保留数日，以便仍在传输中的邮件能够完成验证。

仅有 DKIM 并不能保护可见的 From 邮件头。要完成邮件认证配置，请添加将 DKIM 结果与 From 域名对齐的 DMARC 策略。干净的邮件列表同样重要——即使已通过认证的邮件，若反复退信，仍会进入垃圾邮件。使用 邮箱验证 来移除无效地址，或通过 批量邮箱验证核验大型列表。